Um grupo de ciberespionagem está utilizando uma nova versão de um malware para atacar órgãos governamentais e driblar as ferramentas de segurança do Windows. A descoberta foi feita por pesquisadores da Kaspersky, que identificaram uma variante atualizada do CoolClient, programa espião associado ao grupo HoneyMyte, também conhecido como Mustang Panda.
Os ataques analisados aconteceram principalmente contra organizações no Paquistão, Mongólia, Mianmar e Rússia, com foco confirmado em entidades governamentais.
A principal novidade do malware é um componente criado para atuar em uma das áreas mais protegidas do sistema operacional, dificultando sua identificação e remoção.
Malware ganhou uma nova camada de camuflagem
Segundo os pesquisadores, a nova versão do CoolClient passou a utilizar um driver em modo kernel, uma parte do Windows que opera com privilégios muito elevados.
Esse componente funciona como uma espécie de camada de proteção para o próprio malware. Ele consegue esconder arquivos, proteger processos maliciosos e dificultar que antivírus encontrem ou removam o programa.
A Kaspersky considera essa mudança um avanço importante na capacidade de furtividade do grupo.
Como o CoolClient funciona?
Depois de instalado, o CoolClient funciona como uma ferramenta de espionagem dentro do computador infectado.
Entre as atividades que o malware pode realizar estão:
- Monitorar o que a vítima digita;
- Copiar informações transferidas pelo computador;
- Roubar senhas;
- Acessar arquivos;
- Controlar determinados recursos da máquina;
- Enviar informações roubadas para servidores controlados pelos criminosos.
Na prática, o malware permite que os invasores acompanhem atividades realizadas no computador sem chamar a atenção do usuário.
PlugX ajuda a preparar o ataque
Nos ataques analisados, os criminosos utilizaram outro malware conhecido como PlugX para preparar o ambiente antes da instalação do CoolClient.
Os invasores também criaram pastas com nomes semelhantes aos utilizados pelo Microsoft Defender, uma estratégia simples para tentar esconder os arquivos maliciosos entre componentes legítimos do sistema.
Esse tipo de técnica explora um comportamento comum: arquivos com nomes conhecidos podem passar despercebidos durante uma análise superficial.
Credencial digital antiga foi usada para driblar defesas
Outro detalhe chamou a atenção dos pesquisadores.
Para fazer com que um dos componentes maliciosos fosse aceito pelo sistema, o grupo utilizou uma assinatura digital antiga emitida para uma empresa de tecnologia da China.
Uma assinatura digital funciona como uma espécie de identificação que ajuda o Windows a determinar a origem de um programa.
Nesse caso, os criminosos aproveitaram uma credencial que ainda poderia ser reconhecida pelo sistema para dificultar a identificação do arquivo como ameaça.
Malware tenta impedir sua própria remoção
A nova versão também foi desenvolvida para dificultar o trabalho das ferramentas de segurança.
O driver utilizado pelo CoolClient consegue impedir determinadas tentativas de excluir os arquivos maliciosos e esconder informações relacionadas à comunicação do malware com os servidores dos invasores.
Isso permite que o programa permaneça ativo por mais tempo dentro da rede comprometida.
Segundo a Kaspersky, a utilização desse tipo de componente demonstra que o grupo está investindo cada vez mais em persistência e evasão de mecanismos de segurança.
Grupo já utilizou técnicas semelhantes
O HoneyMyte não está começando agora a utilizar técnicas avançadas para esconder seus ataques.
De acordo com os pesquisadores, o grupo já havia utilizado métodos semelhantes no final de 2025 em ataques envolvendo o malware ToneShell.
A evolução mostra que os criminosos estão constantemente modificando suas ferramentas para dificultar a detecção e permanecer durante mais tempo dentro dos sistemas invadidos.
Por que ataques desse tipo preocupam?
O problema é especialmente grave quando envolve órgãos públicos, já que computadores dessas organizações podem armazenar documentos, credenciais, informações estratégicas e outros dados sensíveis.
Uma vez dentro da rede, um grupo de espionagem pode permanecer oculto durante longos períodos enquanto coleta informações.
O caso também reforça a importância de manter sistemas e ferramentas de segurança atualizados, além de monitorar comportamentos incomuns dentro das redes corporativas.
A descoberta do novo CoolClient mostra que os criminosos não estão apenas criando novos vírus: eles também estão adaptando ameaças antigas para explorar camadas cada vez mais profundas do Windows e escapar das defesas tradicionais.
